Funkciigi VPN kaj retejon sur unu gastiganto sen kolizioj

Se vi dividas unu gastiganton inter publika retejo kaj VPN, vi heredas du demandojn, ne unu: kio aŭskultas kie, kaj kiu aŭtentikigas kiun. Respondu ambaŭ antaŭ ol tuŝi agordan dosieron, ĉar la defaŭltaj valoroj malĝustas laŭ manieroj videblaj nur sub ŝarĝo. Paĝo, kiu ŝargiĝas per HTTPS, pruvas, ke la reta aŭskultanto respondas, kaj nenion pri la partnera aŭskultanto. Tio, kio sekvas, estas ordo de decidoj, kiu malhelpas la du formanĝi unu la alian.

Decidu, kio aŭskultas sur kiu adreso kaj transporto

Skribu tabelon kun tri kolumnoj, adreso, transporto kaj pordo, kaj unu vicon po servo, inkluzive de la administra interfaco. TCP 443 por la retejo kaj UDP 443 por la VPN ne estas kolizio eĉ kiam la nombroj kongruas, ĉar la transporto diferencas. Du servoj sur la sama adreso, transporto kaj pordo bezonas aranĝon, kiun la efektivigo dokumentas, ne unu, kiun vi elpensas dum paneo. Tiu tabelo ankaŭ estas la artefakto, kiu igas la sekvan ŝanĝon revidebla.

Apartaj adresoj aŭ dua pordo igas posedrajton videbla en paketa kapto, kaj tio valoras pli ol eleganto. Kelkaj VPN-efektivigoj subtenas dividi pordon kun reta servilo, sed la mekanismo estas specifa: la demono inspektas la unuajn bitokojn kaj plusendas trafikon, kiu ne estas ĝia propra protokolo. Ĝenerala inversa prokuro por HTTP tion ne faras, kaj reverkado de kaplinioj ne igos ĝin kompreni manpremon de ĉifrita tunelo. Legu la deplojajn notojn de la protokolo, ekzemple la dokumentaron pri la OpenVPN-aŭskultanto, kaj sekvu la aranĝon, kiun ĝi priskribas.

Decidu, kiu identeco apartenas al kiu servo

Retumila atestilo kaj VPN-partnera akreditaĵo estas malsamaj objektoj kun malsamaj fido-modeloj. La reta atestilo estas validigata de publika aŭtoritato kaj nomas gastigantnomon, dum la partnera akreditaĵo aŭtentikigas aparaton aŭ uzanton al la koncentrigilo kaj povas esti memsubskribita aŭ eldonita interne. Reuzi unu kiel la alian funkcias en malvastaĝaj kazoj kaj malofte indas la kupladon. Malebligi kontrolon, por ke komuna atestilo taŭgu, ne estas plano de apartigo; ĝi forigas la kontrolon, kiu donis signifon al la akreditaĵo.

Tenu la du konservejojn sendependaj kaj notu, kiu aŭtoritato eldonas ĉiun. Kiam unu estas rotaciata, la alia ne devus bezoni ŝanĝon, kaj se ĝi bezonas, la kuplado estas tio, kion oni riparu.

Decidu, kie loĝas la administrado

La administra interfaco de la VPN apartenas al administra vojo, neniam al la publika aŭskultanto, eĉ kiam la gastiganto jam servas la interreton. Reta servilo sur 443 ne implicas, ke la partnera konzolo estu atingebla de ĉie, kaj la konzolo kutime estas la pli valora celo. Ligu ĝin al bukla aŭ administra adreso, limigu ĝin laŭ fonto, kaj tenu restarigan vojon, kiu ne dependas de tio, ke la tunelo estas supre. La restariga vojo gravas, ĉar la kutima paneo estas ŝlosi sin ekstere dum oni riparas la ŝloson.

Skribu mallarĝajn fajroŝirmilajn regulojn, po unu por aŭskultanto, nomante la interfacon aŭ servan konton, kie la platformo subtenas tion. Larĝaj reguloj, kiuj malfermas la gastiganton ĉar la retejo bezonas 443, estas la maniero, kiel administraj interfacoj finiĝas en indeksoj de skaniloj.

Reviziu tiujn regulojn kontraŭ la aŭskultanta tabelo ĉiam, kiam servo aldoniĝas. La revizio estas malmultekosta, kaj ĝi kaptas la regulon, kiun iu aldonis je la dua nokte.

Decidu, kion fari, kiam la du konfliktas

Dividi gastiganton signifas dividi CPU, memoron, dosierpriskribilojn kaj bendlarĝon, kaj la pridisputata rimedo ne ĉiam estas la evidenta. Okupata retejo povas plenigi la konektan tabelon, elĉerpi laborpostenojn, aŭ premi la diskvicon tiel forte, ke la protokolado de VPN haltas. Rigardu uzon po servo anstataŭ la totalojn de la gastiganto, ĉar averaĝo kaŝas, kiu procezo malsatas. Se unu laborŝarĝo ripete perturbas la alian, izolu ilin anstataŭ agordi ĉirkaŭ la simptomo.

Izolado povas esti ujo, limo de cgroup, aparta vico aŭ dua gastiganto, kaj la ĝusta elekto dependas de tio, kiu rimedo konfliktas. Porda ŝanĝo riparas nenion ĉi tie, kaj pli granda okazo riparas nenion, se la limo estas unu saturita vico. Decidu per mezurado: nomu la rimedon, ŝarĝu ĝin, poste elektu la plej malgrandan izoladon, kiu forigas la konkuradon.

Kontrolu de ekstere, poste denove post restarto

Testu de aparato, kiu ne estas en la propra reto de la gastiganto: ŝargu la retejon, levu la tunelon, kaj atingi unu rimedon, kiu postulas ĝin. Poste restartigu ĉiun servon aparte kaj ripetu la alian teston, ĉar restarto estas kiam komuna aŭskultanta aranĝo perdas sian ordon. Se la VPN startas antaŭ la reta servilo, kiu posedas la dividitan pordon, la divida mekanismo eble neniam aliĝos, kaj la simptomo estas tunelo, kiu funkciis hieraŭ. Faru la dependon eksplicita en la ordo de unuoj.

Poste konfirmu la limojn: la retejo respondas sur sia pordo, la VPN respondas sur sia propra, kaj la administra interfaco respondas nur el la administra vojo. Notu la rezulton apud la aŭskultanta tabelo kun la dato. Gastiganto, kiu trapasas ĉiujn tri kontrolojn post restarto, estas gastiganto, kiun vi povas transdoni al iu alia sen enkonduko.